🇰🇷 한글 설명
PHP-Nuke에서 사용되는 NukeCalendar 1.1.a의 특정 스크립트들에서 취약점이 발견되었습니다. 공격자가 잘못된 인자를 포함한 URL을 요청하면, 서버의 전체 경로 정보가 에러 메시지를 통해 외부로 노출될 수 있습니다.
💡 쉬운 설명
웹사이트 주소에 일부러 틀린 값을 입력했을 때, 서버 내부의 폴더 구조가 적힌 에러 메시지가 나타나는 문제입니다. 해커는 이 정보를 통해 서버의 내부 구조를 파악하여 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
The (1) modules.php, (2) block-Calendar.php, (3) block-Calendar1.php, (4) block-Calendar_center.php scripts in NukeCalendar 1.1.a, as used in PHP-Nuke, allow remote attackers to obtain sensitive information via a URL with an invalid argument, which reveals the full path in an error message.
📍 영향받는 시스템
NukeCalendar 1.1.a (PHP-Nuke 기반 시스템)
⚔️ 공격 벡터
URL에 유효하지 않은 인자를 전달하여 서버 에러 메시지를 유도하는 정보 노출 공격
🛡️ 대응 방법
NukeCalendar를 최신 버전으로 업데이트하거나, PHP 설정(php.ini)에서 'display_errors = Off'로 설정하여 에러 메시지 노출을 차단하십시오.
🔧 검증 코드
명령어 실행 결과 NukeCalendar 1.1.a 버전 경로가 출력되면 해당 취약점에 노출된 상태입니다.
grep -r "NukeCalendar" /var/www/html | grep "1.1.a"